Chat Control : qui lit vraiment vos messages, et ce qui vient de se décider à Bruxelles.

Trois mois où le scan était illégal

Le détail est passé à peu près inaperçu : entre le 4 avril et le 9 juillet 2026, les grandes messageries n'avaient plus le droit d'analyser vos conversations en Europe. Le règlement qui les y autorisait depuis 2021, celui qu'on surnomme Chat Control 1.0, arrivait à expiration au printemps. Le 26 mars, le Parlement européen a refusé de le prolonger. Résultat : plus aucune base légale pendant trois mois. Un vide juridique que personne n'avait vraiment anticipé.

Puis le dossier est revenu sur la table, et cette fois les règles du jeu avaient changé. En deuxième lecture, pour rejeter la position du Conseil, il ne suffit plus d'une majorité des députés présents. Il faut la majorité absolue des 720 eurodéputés, soit 361 voix. Le 9 juillet, 314 députés ont voté pour le rejet, 276 contre, 17 se sont abstenus. Il en manquait 47. Le texte est donc considéré comme adopté, et le scan volontaire redevient légal jusqu'au 3 avril 2028.

Un élément du même vote mérite qu'on s'y arrête. Les députés ont adopté un amendement qui exclut noir sur blanc les messageries chiffrées de bout en bout du champ du règlement. Mais le Conseil doit encore l'accepter, et à l'heure où nous publions, il n'est pas en vigueur.

Ce que la loi autorise exactement

Le texte officiel s'appelle règlement (UE) 2021/1232. Adopté en juillet 2021, il ouvre une exception temporaire à la directive ePrivacy, celle qui protège la confidentialité de vos communications électroniques. En pratique, il permet aux fournisseurs de messageries et d'e-mails d'analyser ce qui transite par leurs serveurs pour détecter et signaler des contenus d'abus sexuels sur mineurs, et repérer les adultes qui cherchent à entrer en contact avec des enfants.

Il faut d'abord corriger quelques idées reçues. Aucune messagerie n'est obligée de scanner quoi que ce soit : le règlement lève une interdiction pour celles qui choisissent de le faire, et la plupart des grandes plateformes américaines le faisaient déjà bien avant 2021. La dérogation ne permet pas non plus de chercher autre chose. Vos opinions politiques ou vos conversations houleuses ne sont pas concernées, les outils utilisés comparent essentiellement vos images à des bases d'empreintes de contenus déjà identifiés par les autorités.

Reste le mot « temporaire », qui mérite des guillemets. Le règlement était prévu pour trois ans. Il a été prolongé en 2024, a expiré en avril 2026, et vient de repartir pour deux ans. À force de prolongations exceptionnelles, l'exception commence à ressembler à une habitude.

Qui scanne quoi, en pratique

Si vous utilisez Gmail, Outlook, Facebook Messenger, Instagram ou Snapchat, les photos et messages qui passent en clair par les serveurs peuvent être comparés à ces bases d'empreintes. L'ampleur du dispositif se mesure aux chiffres du NCMEC, l'organisme américain qui centralise les signalements : 20,5 millions en 2024, presque tous générés par les scans automatiques des plateformes.

Les messageries chiffrées de bout en bout jouent dans une autre catégorie. WhatsApp, Signal, iMessage, et Messenger depuis fin 2023 : sur ces services, le contenu de vos conversations est illisible pour les serveurs qui les transportent. Seuls votre appareil et celui de votre correspondant détiennent les clés. Ce n'est pas une question de réglementation mais de mathématiques, et aucun règlement n'y change rien.

Voilà pourquoi le vrai débat de ces dernières années s'est déplacé vers une idée autrement plus intrusive : scanner les messages directement sur votre téléphone, avant leur chiffrement. On y revient plus bas.

Des machines qui se trompent

À cette échelle, le scan automatique produit forcément des erreurs, et elles ne sont pas rares. Amazon reconnaît utiliser un seuil de détection volontairement large, qui génère selon ses propres mots un pourcentage élevé de faux positifs. Des chercheurs de Stanford ont calculé que près de 80 % des signalements étiquetés « IA générative » transmis au NCMEC au premier semestre 2025 ne contenaient en réalité aucun contenu pédocriminel produit par IA.

Derrière les statistiques, il y a des gens. Le cas le plus connu est celui d'un père américain qui avait photographié une infection de son fils pour l'envoyer au médecin, en pleine pandémie. Les photos, sauvegardées automatiquement dans le cloud, ont déclenché les algorithmes de Google. Son compte a été fermé du jour au lendemain, dix ans de mails et de photos envolés, et une enquête de police ouverte. L'enquête a conclu à l'évidence : rien à signaler. Google n'a jamais restauré le compte.

C'est l'angle mort du système. Un signalement automatique n'est pas une preuve, mais ses conséquences tombent tout de suite, et parfois pour de bon, avant qu'un humain ait sérieusement vérifié quoi que ce soit.

Le vrai débat n'est pas terminé

Le règlement définitif, proposé en mai 2022 et surnommé Chat Control 2.0, allait beaucoup plus loin à l'origine. Il prévoyait des ordres de détection obligatoires : la possibilité de contraindre une messagerie, y compris chiffrée, à analyser les communications de ses utilisateurs. C'est ce texte qui a soulevé les cryptographes, les autorités de protection des données et une bonne partie de la société civile pendant trois ans, et qui a bloqué le dossier au Conseil.

En novembre 2025, le Conseil a fini par lâcher le scan obligatoire dans sa position de négociation. Ce qui reste sur la table n'est pas anodin pour autant : un cadre permanent de scan volontaire, des obligations de vérification d'âge qui s'appliqueraient aussi aux services chiffrés, des obligations de « réduction des risques » assez floues pour maintenir la pression sur le chiffrement, et un centre européen dédié. Les négociations entre Parlement et Conseil reprennent en septembre 2026 sous présidence irlandaise.

En résumé : le 1.0 est prolongé, le 2.0 se négocie encore, et la question centrale n'a pas bougé d'un millimètre. Peut-on, oui ou non, obliger une messagerie chiffrée à regarder dans les messages de ses utilisateurs ?

Ce que ça change pour vous

→Sur les services qui ne sont pas chiffrés de bout en bout (e-mail classique, messages privés des réseaux sociaux), vos contenus peuvent légalement être analysés par des algorithmes de détection. C'était le cas avant avril 2026, ça l'est de nouveau.
→Sur les messageries chiffrées de bout en bout, les serveurs ne peuvent pas lire vos conversations. Vérifiez simplement que le chiffrement est bien actif : il l'est d'office sur WhatsApp, Signal et iMessage, pas partout ailleurs.
→Un compte peut être suspendu sur simple signalement automatique, sans qu'un humain soit intervenu. Gardez une sauvegarde indépendante de ce qui compte vraiment, photos et documents, plutôt que de tout confier à un seul écosystème.
→Et le débat va continuer : la question du scan sur l'appareil reviendra dès la rentrée dans les négociations du règlement définitif.

Le chiffrement de bout en bout n'est pas un outil de fraudeur. C'est la technologie qui protège vos échanges bancaires, médicaux et familiaux. Toute la question du débat européen est de savoir si on peut l'affaiblir « juste un peu » pour scanner. Les cryptographes répondent la même chose depuis dix ans : un chiffrement affaibli l'est pour tout le monde.

Ce que Trasimène fait, et ce qu'il ne fait pas

Autant le dire franchement : aucun antivirus, aucun VPN n'empêchera une messagerie d'analyser ce qui transite par ses serveurs. Le scan a lieu chez la plateforme, sur des contenus que vous lui avez confiés. Un VPN chiffre le trajet entre votre appareil et le serveur, pas ce que la plateforme fait ensuite de vos données. Si quelqu'un vous vend une « protection contre Chat Control », méfiez-vous du vendeur.

Le terrain de Trasimène, c'est l'autre versant de votre vie privée : les logiciels espions installés sur votre téléphone, les applications qui siphonnent vos données, le phishing qui vise vos comptes, et la confidentialité de votre trafic sur les réseaux que vous ne contrôlez pas. Face au scan côté serveur, votre meilleur levier tient en une phrase : choisir des messageries chiffrées de bout en bout, et savoir ce que chaque service peut faire, ou non, de vos contenus.

Retenez la géographie du sujet plutôt que le bruit qui l'entoure. Ce qui est en vigueur aujourd'hui, c'est un scan volontaire, limité aux contenus pédocriminels, sur les services non chiffrés, et prolongé jusqu'en avril 2028. Ce qui se joue encore, c'est le sort des messageries chiffrées, à Bruxelles dès la rentrée. D'ici là, les bons réflexes ne changent pas : des messageries chiffrées de bout en bout pour ce qui est privé, des sauvegardes indépendantes pour ce qui est précieux, et un peu d'attention à ce que chaque plateforme fait de vos contenus.

Sources

Trasimène — Protection mobile

Découvrez ce que Trasimène protège

Télécharger Trasimène →